Chủ quyền an ninh mạng - gốc rễ của chuyển đổi số

Nếu một quốc gia không thể ngay lập tức xây dựng một cơ sở hạ tầng kỹ thuật số hoàn toàn tự chủ, quốc gia đó phải bắt đầu với chủ quyền an ninh mạng.

Đó là khẳng định của ông Yuri Maximov, đồng sáng lập Quỹ Cyberus và công ty Positive Technologies của Nga, trong cuộc trả lời phỏng vấn của phóng viên TTXVN tại Nga bên lề Diễn đàn kinh tế quốc tế St. Petersburg.

Cyberus tập hợp các nhà phát triển công nghệ an ninh mạng, doanh nghiệp và chính phủ để xây dựng một phương pháp tiếp cận mới về an ninh thông tin ở cấp độ từng công ty, toàn ngành và quốc gia.

Trước tiên, ông Yuri Maximov khẳng định số hóa chắc chắn cải thiện cuộc sống, có thể làm tăng Tổng sản phẩm quốc nội (GDP) lên nhiều lần. Để được như vậy, một quốc gia cần xây dựng cơ sở hạ tầng kỹ thuật số cơ bản và tự tin rằng các quy trình quan trọng nằm trong tầm kiểm soát của mình. Và đây là nghịch lý: nhiều quốc gia ngày nay ngần ngại chuyển đổi số chính vì họ sợ mất quyền kiểm soát này. Tuy nhiên, chỉ một số ít quốc gia trên thế giới có thể tự xây dựng một cơ sở hạ tầng kỹ thuật số hoàn toàn có chủ quyền.

Do đó, theo ông, việc đặt máy chủ vật lý trong nước là điều cần thiết, nhưng chưa đủ. Một máy chủ có thể được đặt trong trung tâm dữ liệu quốc gia, nhưng nếu kiến trúc, quản trị và phần mềm được gắn với các nhà thầu nước ngoài, điều này không cung cấp bảo mật và chủ quyền tuyệt đối.

Nhận thức quan trọng mà thế giới đã đạt được chỉ trong 4 năm qua là: Các sản phẩm công nghệ thông tin, dù dường như sở hữu tất cả những đặc điểm của quyền sở hữu tiêu dùng, thực chất không mang lại chủ quyền hay quyền sở hữu nào. Khi các thiết bị và phần mềm đi mua đột nhiên ngừng hoạt động, chúng không còn là sở hữu của bạn - bạn chỉ có quyền sử dụng chúng tạm thời.

Do đó, ngay cả khi máy chủ được đặt trong nước nhưng công nghệ là của nước ngoài với "chủ sở hữu" riêng, thì luật pháp ngoài lãnh thổ là một đòn bẩy tiềm năng. Câu hỏi không phải là nhà cung cấp (vendor) thuộc tài phán của ai, mà là liệu thông tin có thể rời khỏi tầm kiểm soát của bạn hay không.

Ông Yuri Maximov cho biết hiện tại Nga đang đầu tư mạnh vào việc xây dựng một kiến trúc đáng tin cậy dựa trên các thành phần không đáng tin cậy. Ý tưởng rất đơn giản: ngay cả khi chúng ta không tin tưởng phần cứng này, hay khi một trung tâm dữ liệu giao tiếp với một trung tâm dữ liệu khác qua internet, chúng ta vẫn tạo ra sự cô lập đến mức thông tin không bao giờ rò rỉ ra internet. Và ngay cả khi các máy chủ này có chủ sở hữu muốn sử dụng thông tin được lưu trữ ở đó, họ cũng sẽ không bao giờ truy cập được.

Kiến trúc này cho phép các trung tâm dữ liệu lớn xử lý dữ liệu nhạy cảm, lưu trữ hệ thống bỏ phiếu điện tử và chứa các kho lưu trữ kỹ thuật số của các cơ quan chính phủ cao nhất. Đây là một ví dụ về cách sử dụng chúng với mức độ tin cậy cần thiết mà không cần phải phát minh lại hoặc thiết kế lại mọi sản phẩm trên thế giới.

Theo ông Yuri Maximov, nếu một quốc gia không thể ngay lập tức xây dựng một cơ sở hạ tầng kỹ thuật số hoàn toàn tự chủ, quốc gia đó phải bắt đầu với chủ quyền an ninh mạng. Với một ngành công nghiệp cho phép quốc gia đó quản lý rủi ro số hóa, xác định các lỗ hổng, xây dựng một kiến trúc đáng tin cậy trên các yếu tố không đáng tin cậy và trả lời câu hỏi quan trọng: hệ thống này có thể gây ra thiệt hại không thể chấp nhận được cho nhà nước hay không.

Ông Yuri Maximov cho biết đây chính là nơi mà Nga sẵn sàng giúp các đối tác xây dựng ngành công nghiệp an ninh mạng của riêng mình: giúp phát triển năng lực để họ có thể đào tạo chuyên gia, xây dựng các công ty và hệ thống bảo vệ, tạo ra các giải pháp và cộng đồng chuyên nghiệp của riêng họ. Đây là cách một ngành ra đời - khi mọi thứ được thực hiện bởi chính người dân. Và điều này có thể trở thành nền tảng để xây dựng một nền kinh tế số thực sự tự chủ.

Trong bối cảnh Việt Nam đang trong quá trình thực thi Luật Lưu trữ 2024 với trọng tâm chuyển dịch mạnh mẽ sang lưu trữ điện tử, ông Yuri Maximov lưu ý rằng sai lầm chính trong quá trình chuyển đổi là cho rằng đó chỉ đơn giản là việc quét, lưu trữ và tìm kiếm dễ dàng.

Trên thực tế, với số hóa, kho lưu trữ trở thành một phần của cơ sở hạ tầng quan trọng của nhà nước. Kho lưu trữ kỹ thuật số, nếu được thiết kế kém, có thể bị sửa đổi, phá hủy không thể phục hồi, thay thế, mã hóa, sao chép hoặc được sử dụng để phân tích hệ thống của nhà nước.

Theo nghĩa này, việc hoàn toàn từ bỏ các bản sao là liều lĩnh. Do đó, điểm yếu đầu tiên là sự tập trung hóa. Kiến trúc kỹ thuật số hiện tại phần lớn được thiết kế để tất cả người dùng và tất cả dữ liệu có thể được kiểm soát từ một vị trí trung tâm. Điều này thuận tiện, nhưng cũng tạo ra những điểm yếu lớn.

Nếu chỉ có một trung tâm điều khiển, một hệ thống cập nhật và một kênh truy cập bên ngoài duy nhất, thì một vụ tấn công hoặc lỗi tại điểm này có thể gây ra hậu quả nghiêm trọng.

Thứ hai là yếu tố con người. Kiến trúc hiện tại đòi hỏi một số lượng lớn người vận hành: các kỹ sư liên tục điều chỉnh, đấu nối lại hệ thống. Một sai lầm của bất kỳ ai trong số họ - cố ý hay vô ý - đều dẫn đến hậu quả nghiêm trọng. Càng nhiều người bảo trì hệ thống, càng có nhiều điểm yếu cho kẻ tấn công.

Điểm yếu thứ ba là sự phụ thuộc vào các sản phẩm bên ngoài và dịch vụ đám mây. Một quốc gia có thể tin rằng mình đã xây dựng một kho lưu trữ điện tử, nhưng nếu các yếu tố quan trọng nằm trong tay các nhà cung cấp nước ngoài, nếu các bản cập nhật, giấy phép, quản lý, phân tích hoặc sao lưu đều phụ thuộc vào họ, thì đó không phải là chủ quyền đầy đủ.

Đến một lúc nào đó, hệ thống có thể ngừng hoạt động, dữ liệu có thể trở nên không thể truy cập được và một quốc gia khác có thể giành được quyền kiểm soát.

Và cuối cùng, điều quan trọng cơ bản đối với một kho lưu trữ là tính toàn vẹn và nguồn gốc của tài liệu. Làm thế nào chúng ta có thể đảm bảo, 20-30 năm nữa, rằng một tài liệu là xác thực, rằng nó chưa bị sửa đổi và người đứng sau nó chính xác là người phải đứng sau nó?

Ông Yuri Maximov khẳng định chúng ta đã có mọi thứ cần thiết ở đây. Chúng ta có mật mã đáng tin cậy cho phép chữ ký đáng tin cậy. Nhìn thấy chữ ký này ta biết chắc sau nó là một công dân, tổ chức hoặc quốc gia cụ thể. Bên cạnh đó là các công nghệ sổ cái phân tán đảm bảo tính bất biến của nội dung theo thời gian và khả năng đo lường các thông số của nó.

Về cơ bản, có thể xây dựng một kho lưu trữ trong đó nguồn thông tin được biết và tính bất biến của nó được đảm bảo. Đây là nền tảng thường bị bỏ qua nhất trong quá trình chuyển đổi từ giấy sang kỹ thuật số, và nó nên được đặt ngay từ đầu.

Do đó, khi chuyển sang lưu trữ điện tử, ngay từ đầu cần phải suy nghĩ không chỉ về lưu trữ mà còn về kiến trúc bảo mật. Cần một hệ thống trả lời được một số câu hỏi đơn giản nhưng quan trọng: Liệu chúng ta có thể bị tấn công mạng không? Dữ liệu có thể bị thay đổi không? Liệu có thể gây ra thiệt hại không thể chấp nhận được không? Liệu kho lưu trữ có thể bị sử dụng để gây ảnh hưởng bên ngoài đến nhà nước không? Liệu chúng ta có thể tiếp tục hoạt động nếu một phần cơ sở hạ tầng kỹ thuật số bị vô hiệu hóa hoặc bị xâm phạm không?

Một lần nữa, câu trả lời nằm ở cách tiếp cận toàn diện: cơ sở hạ tầng địa phương, nhân sự tại chỗ, hệ thống đo lường liên tục bằng các phương pháp của hacker, mạch điện độc lập và sự hợp tác đáng tin cậy với các yếu tố không đáng tin cậy.

Đối với Việt Nam, cũng như bất kỳ quốc gia nào đang nghiêm túc số hóa kho lưu trữ nhà nước hiện nay, đây là cơ hội để xây dựng kiến trúc đúng đắn ngay từ đầu./.